Microsofti Defender Security Researchi meeskond avaldas neli nädalat tagasi kaks CVE-d oma Semantic Kerneli raamistiku kohta. CVE-2026-26030 asub In-Memory Vector Store’is. CVE-2026-25592 võimaldab Sessions Python Plugini kaudu kirjutada suvalisi faile. Tasub peatuda sellel, kuidas meeskond probleemi kirjeldas. Mitte vead. Arhitektuur. Meeskonna enda sõnadega: „developed by design“.

Just see väljend tasub meelde jätta. Kui LLM saab pluginad, teeb mudel täpselt seda, milleks ta on loodud: teisendab loomuliku keele tööriistakutseteks. Kui ründaja kontrollib sisse minevat loomulikku keelt, kontrollib ta ka välja tulevaid tööriistakutseid. Sellest hetkest ei ole prompti süstimine enam sisuprobleem. Sellest saab käivitusprobleem. Microsoft pani ilmselgele lihtsalt CVE-numbrid külge.

Seejärel jõuab Microsofti postitus teemani „Defending the agentic edge“. Tasub lugeda. Nõuanded on asjalikud ja enamik neist puudutab agendi enda tugevdamist: õigused, liivakast, pluginate läbivaatus, käitusaegne seire. Käsitlemata jääb aga see pool, mis on enne agenti. Enne kui LLM üldse näeb prompti, millest saab shell, peab ohtlik sisend promptini jõudma. Just sellega heySec tegelebki.

Mida isoleerimine prompti piiril tähendab

Isoleerimine on prompti poolne vastus arhitektuursele probleemile, millele Microsoft nime andis. Turuletoomisel kaks konkreetset asja, mitte rohkem:

  1. Isoleerimissildid. Kõik välisandmed, mis promptisse lähevad, pakitakse nii, et LLM suudab eristada „see on sinu juhis“ ja „see on vaenulik sisu, millest palun sul kokkuvõtte teha“. Seda pakkimist jõustatakse piiril, mitte süsteemiprompti kirjutatud stiilisoovituse ja hea lootuse abil.
  2. Ohutaseme skannimine. Iga välist sisu hinnatakse teadaolevate prompti süstimise mustrite järgi ja märgistatakse riskitasemega, mille põhjal kutsuv rakendus saab otsustada, mida teha, enne kui sisu agendi tsüklisse jõuab.

Selline on meie väide turuletoomise hetkel. Turuletoodav toode ei kata laialt „agentide tulemüüri“ rolli. Tööriistakutseid käitusajal ei peatata. Me ei luba, et heySec asendab sinu liivakasti või õiguste mudeli. Turuletoomisel tarnime prompti poolse kaitse just selle ohu vastu, millele Microsoft äsja CVE-d avaldas.

Miks see on praegu oluline

Agendiraamistikke võetakse kasutusele kiiremini, kui nende turvalisus jõuab järele tulla. Semantic Kernel on üks paljudest. Kui Microsofti enda turvameeskond avaldab CVE-sid oma raamistiku kohta, on ülejäänud valdkonnas olukord sama, lihtsalt ilma CVE kirjelduseta. Agente tarnivad meeskonnad saavad peagi teada, millise poole kaitsest nad ise katavad ja millise poole katmist nad raamistikult ootasid. Prompti piir kuulub peaaegu kõigil teise rühma.

Ehitatud EL-is

heySec on ehitatud Eestis, majutatud EL-is ja vaikimisi GDPR-i nõuetega kooskõlas. EL-i arendusmeeskondadele, kes lugesid Microsoft Defenderi CVE-sid ja hakkasid mõtlema, kus nende agentide andmed asuvad, sobib see hästi. Andmeid ei eksporditata, telemeetria ei liigu üle piiri ja eraldi andmetöötluslepingu (DPA) arutelu pole vaja juba alguses pidada.

Alguses ainult kutsega

Alustame ainult kutsetega. Põhjus on osalt mahus, osalt korrektsuses. Isoleerimist tasub juurutada nii, et asutajad jälgivad esimesi paigaldusi, mitte võtta seda hulgi kasutusele. Kutsenimekirja täidame arendajakogukondadest, kes on viimase aasta jooksul avalikult rääkinud prompti süstimisest kui käivitusriskist. Kui sinu meeskond on üks neist ja soovid isoleerimiskihti oma agentidega katsetada, leiad ootenimekirja aadressilt heysec.com.

Microsoft tegi valdkonnale teene, kui avaldas CVE-d, mis annavad nime sellele, mida kogukond seni vaid ebamääraselt kirjeldas. Isoleerimine prompti piiril on pool vastusest. Meie tarnime selle poole. Teine pool on sinu.

Viide: When prompts become shells: RCE vulnerabilities in AI agent frameworks, Microsoft Security Blog, 07.05.2026. microsoft.com/en-us/security/blog/2026/05/07/prompts-become-shells-rce-vulnerabilities-ai-agent-frameworks